Serveris įsilaužtas? Pirmieji žingsniai

Ženklai, kad Jūsų serveryje yra kažkas kitas: nežinomi procesai, naudojantys daug procesoriaus išteklių, nepažįstamas naudotojas ar SSH raktas, pakeisti failai arba pranešimas, kad Jūsų serveris siunčia šlamštą ar vykdo atakas. Išlikite ramūs ir veikite šia tvarka.

1. Užfiksuokite esamą būseną

Sukurkite momentinę kopiją (žr. Momentinės kopijos: apsauga prieš kiekvieną didelį pakeitimą). Taip išsaugosite įrodymus ir vėliau galėsite išsiaiškinti, kaip užpuolikas pateko į serverį. Nepradėkite nuo valymo.

2. Izoliuokite serverį

Išjunkite serverį VPS ekrane mygtuku Išjungti arba nustatykite ugniasienę taip, kad prie SSH galėtų prisijungti tik Jūsų IP adresas. Jei nebegalite prisijungti, naudokite konsolę.

3. Įdiekite iš naujo

Įsilaužto serverio išvalyti neįmanoma: niekada negalite būti tikri, kad radote viską. Įdiekite sistemą iš naujo (žr. Įdiegimas iš naujo arba ISO prijungimas) ir atkurkite duomenis iš atsarginės kopijos, padarytos prieš įsilaužimą. Neatkurkite programų ar scenarijų, kurie leido įvykti įsilaužimui.

4. Pakeiskite visus slaptus duomenis

• Sukurkite naujus SSH raktus, jei manote, kad privatusis raktas galėjo nutekėti, ir pašalinkite senuosius iš visų savo serverių.
• Pakeiskite duomenų bazių, programų ir administravimo skydelių slaptažodžius bei prieigos raktus (tokenus), esančius .env.
• Pakeiskite pašto dėžučių ir paslaugų, kurių prisijungimo duomenys buvo saugomi serveryje, slaptažodžius.

5. Užlopykite spragą

Išsiaiškinkite, kaip tai galėjo atsitikti: slaptažodis vietoj rakto, atvira duomenų bazė ar administravimo skydelis, pasenęs įskiepis, prievadas, kurį Docker atvėrė apeidamas Jūsų ugniasienę. Prieš vėl atverdami serverį, dar kartą peržiūrėkite 3 skyrių ir Docker ir užkarda: kaip saugiai publikuoti prievadus.

6. Pranešimas

Ar serveryje buvo asmens duomenų, pavyzdžiui, klientų duomenų ar el. pašto adresų? Tuomet gali tekti per 72 valandas pranešti apie duomenų saugumo pažeidimą Valstybinei duomenų apsaugos inspekcijai (VDAI), o kartais ir informuoti susijusius asmenis. Daugiau informacijos rasite vdai.lrv.lt.